En bref. Bot Control utilise l’IP d’origine de la requête, tandis qu’une règle personnalisée placée avant peut autoriser un robot vérifié derrière un proxy à partir d’une adresse IP transmise.

Définition : La documentation des robots vérifiés de Bot Control d’AWS WAF indique que la vérification utilise l’adresse IP à l’origine de la requête web. Lorsque cette origine est un proxy ou un équilibreur de charge (load balancer), AWS décrit une règle personnalisée qui lit une adresse IP transmise (forwarded IP) et autorise explicitement le robot vérifié avant le groupe de règles Bot Control.

Points clés

Selon AWS, Bot Control utilise l’adresse IP à l’origine de la requête web pour contribuer à déterminer si un robot est vérifié. La documentation des règles gérées Bot Control précise que sa configuration d’adresse IP transmise ne peut pas remplacer cette source.
La documentation d’AWS sur les adresses IP transmises indique qu’avec un proxy ou un équilibreur de charge, l’adresse du dernier proxy devient l’origine de la requête web. L’adresse du client initial figure généralement dans un en-tête HTTP.
Pour un robot vérifié passant par un proxy ou un équilibreur de charge, AWS décrit une règle placée avant Bot Control qui utilise l’adresse IP transmise et autorise explicitement les requêtes du robot vérifié.
AWS décrit un traitement automatique de l’adresse IP du client pour les requêtes Bot Control passant par Amazon CloudFront, Akamai, Cloudflare ou Fastly, lorsque la requête provient des plages publiées du CDN.

Quelle adresse Bot Control inspecte-t-il ?

La documentation d’AWS sur les adresses IP transmises définit la source comme l’adresse IP à l’origine de la requête web. En présence d’un ou plusieurs proxys ou équilibreurs de charge, cette origine correspond à l’adresse du dernier proxy. L’adresse du client initial est généralement transmise dans un en-tête HTTP, habituellement X-Forwarded-For (XFF), mais un autre en-tête peut la contenir.

La documentation des règles gérées Bot Control indique que ce groupe utilise l’adresse IP d’origine pour contribuer à déterminer si un robot est vérifié. Elle précise aussi que Bot Control ne peut pas utiliser la configuration d’adresse IP transmise d’AWS WAF pour inspecter une autre source d’adresses IP. Pour un robot derrière un proxy ou un équilibreur de charge classique, la vérification repose donc sur l’adresse qu’AWS WAF reçoit comme origine de la requête.

Comment fonctionne l’autorisation documentée pour les proxys ?

AWS décrit une procédure pour les robots vérifiés passant par un proxy ou un équilibreur de charge. La documentation des règles gérées Bot Control indique qu’une règle personnalisée s’exécute avant le groupe Bot Control, lit l’adresse IP transmise et autorise explicitement les requêtes des robots vérifiés. La page d’AWS sur les adresses IP transmises donne l’exemple d’une règle personnalisée de correspondance avec un ensemble d’adresses IP pour détecter et autoriser les robots vérifiés dont l’adresse est transmise.

L’exemple JSON d’AWS contient cette configuration d’adresse IP transmise :

"ForwardedIPConfig": {
  "HeaderName": "x-forwarded-for",
  "FallbackBehavior": "MATCH"
}

Le nom de l’en-tête est insensible à la casse. Pour la règle d’autorisation, l’instruction de correspondance avec un ensemble d’adresses IP peut comparer la première adresse, la dernière ou n’importe laquelle dans l’en-tête transmis. L’exigence de positionnement de la documentation des règles gérées fait de l’ordre de la règle personnalisée un élément de la procédure documentée.

Que se passe-t-il si l’en-tête transmis est incomplet ?

La documentation d’AWS sur les adresses IP transmises indique qu’un en-tête absent donne un résultat sans correspondance pour l’instruction qui l’utilise, sans déclencher le comportement de repli. Une adresse IP invalide ou mal formée déclenche le comportement de repli configuré pour l’adresse IP transmise, qui peut produire une correspondance ou une absence de correspondance.

Pour une instruction de correspondance avec un ensemble d’adresses IP, any inspecte jusqu’à 10 adresses. Si l’en-tête en contient plus de 10, AWS WAF inspecte les 10 dernières. Les adresses doivent être séparées par des virgules ; un autre séparateur les rend mal formées. Une instruction utilisant un en-tête d’adresse IP transmise prend cet en-tête comme source IP à la place de l’adresse indiquée par l’origine de la requête web.

AWS avertit aussi que les proxys peuvent modifier les en-têtes transmis et que des attaquants peuvent en altérer le contenu. L’examen de la règle doit donc couvrir le choix de l’en-tête et du comportement de repli, ainsi que le chemin via les proxys qui fournit cet en-tête.

AWS documente-t-il une exception pour les CDN ?

Au 17 octobre 2026, la page d’AWS sur les adresses IP transmises décrit une exception pour les requêtes passant par un CDN tiers. Bot Control reconnaît automatiquement le trafic provenant des plages IP publiées d’Amazon CloudFront, Akamai, Cloudflare et Fastly, puis utilise l’adresse IP du client initial provenant de l’en-tête standard d’adresse IP client du CDN. Aucune configuration d’adresse IP transmise n’est nécessaire pour les groupes de règles gérées Bot Control et Anti-DDoS avec ces CDN. Les autres instructions fondées sur l’IP, dont une correspondance personnalisée avec un ensemble d’adresses IP, exigent toujours cette configuration lorsqu’elles ont besoin de l’adresse IP du client en amont.

Termes associés

Questions fréquentes

Quelle adresse IP Bot Control utilise-t-il derrière un proxy classique ?

Il utilise l’adresse IP à l’origine de la requête web. Lorsqu’un proxy ou un équilibreur de charge intervient, AWS décrit cette origine comme l’adresse du dernier proxy.

Pouvez-vous configurer Bot Control pour vérifier les robots à partir de X-Forwarded-For ?

Selon AWS, le groupe de règles gérées Bot Control ne peut pas utiliser la configuration d’adresse IP transmise d’AWS WAF comme source de vérification. Une règle personnalisée placée avant peut utiliser l’adresse transmise et autoriser explicitement le robot vérifié, selon la documentation sur les adresses IP transmises.

Comment traiter plusieurs adresses dans l’en-tête transmis ?

Pour une instruction de correspondance avec un ensemble d’adresses IP, choisissez la première adresse, la dernière ou n’importe laquelle. L’option any inspecte jusqu’à 10 adresses et examine les 10 dernières lorsque l’en-tête en contient plus de 10.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Quelle adresse IP AWS WAF utilise-t-il pour vérifier un robot derrière un proxy ?